Partie 7 — Consentement & cookies

⏱️ TL;DR — Le bandeau cookies est la partie visible du RGPD, mais son cadre juridique n’est pas le RGPD seul : ce sont les cookies et traceurs qui relèvent d’abord de la directive ePrivacy 2002/58/CE, transposée à l’article 82 de la loi Informatique et Libertés. Cette partie t’apprend à distinguer ce qui exige un consentement (pub, réseaux sociaux, analytics non exempté) de ce qui en est exempté (traceurs strictement nécessaires, mesure d’audience configurée), à concevoir un bandeau conforme via une CMP — « refuser » aussi simple qu’« accepter », pas de dark pattern, pas de dépôt avant le choix — et à situer ce qui change bientôt (proposition « Digital Omnibus »). On termine par l’atelier : concevoir le bandeau de FormaCampus.

Le problème qu’on résout

Beaucoup d’équipes croient que « poser un bandeau cookies » est la conformité (le Mythe 2 de la Partie 1). C’est faux dans les deux sens : d’un côté le bandeau ne règle rien du cœur du RGPD (finalités, sécurité, droits) ; de l’autre, un bandeau mal conçu est un manquement à part entière, lourdement sanctionné — le plan cookies de la CNIL du 3 septembre 2025 a frappé Google (325 M€) et Shein (150 M€). Le problème concret : savoir quel traceur a besoin de consentement, comment le recueillir sans piéger l’utilisateur, et quoi déposer avant qu’il ait choisi (réponse : presque rien). On répond en raisonnant finalité par traceur, exactement comme on raisonne finalité par traitement.

Ce que tu sauras faire à la fin de cette partie

• Reconnaître un consentement valide appliqué aux traceurs (libre, spécifique, éclairé, univoque, retirable).
• Situer le bon cadre juridique : ePrivacy / art. 82 loi I&L, et non le seul RGPD.
• Trier tes traceurs entre ceux qui exigent un consentement et ceux qui en sont exemptés.
• Concevoir un bandeau conforme via une CMP : « Tout refuser » au même niveau que « Tout accepter », choix par finalité, preuve conservée, pas de dépôt avant le choix.
• Repérer et bannir les dark patterns et le cookie wall abusif.
• Configurer une mesure d’audience exemptée et choisir des outils orientés vie privée.
• Anticiper l’avenir des cookies (proposition « Digital Omnibus ») sans construire dessus.

Les chapitres

On commence : Un consentement valide.